DE19823920C1 - Kraftfahrzeug-Steuereinrichtung zur Steuerung und Überwachung des Betriebs einer Kraftfahrzeug-Komponente, sowie Verfahren zur Steuerung der Fehlerspeichereinrichtung in einer solchen Kraftfahrzeug-Steuereinrichtung - Google Patents

Abstract

Es sind zwei Fehlerdaten-Speicherbereiche (8, 9) vorgesehen, auf die bei den Fehlerdaten-Schreibzyklen alternierend zugegriffen wird. Der jeweils gültige Fehlerdaten-Speicherbereich wird durch einen Zeiger (10, 11) bezeichnet. Selbst bei Unterbrechung eines Fehlerdaten-Schreibzyklus aufgrund einer Insassenschutzsystem-Auslösung bleibt zumindest in dem anderen Fehlerdaten-Speicherbereich ein vollständiger Fehlerdatensatz zur späteren Fehleranalyse gespeichert.

Description

Die Erfindung betrifft eine Kraftfahrzeug-Steuereinrichtung zur Steuerung und Überwachung des Betriebs einer Kraftfahr­ zeug-Komponente, insbesondere eines Kraftfahrzeug- Insassenschutzsystems, und richtet sich speziell auf die Feh­ lerspeicherung in einer solchen Kraftfahrzeug- Steuereinrichtung. Weiterhin ist die Erfindung auf ein Verfah­ ren zur Steuerung der Fehlerspeicherung bei einer solchen Kraftfahrzeug-Steuereinrichtung gerichtet.

Gemäß der DE 44 47 174 A1 wird bei einer elektronischen Si­ cherheitseinrichtung für Fahrzeuginsassen mit einem beschleu­ nigungsempfindlichen Sensor, einem Steuergerät, einer Mehrzahl von Rückhaltemitteln und diesen Rückhaltemitteln zugeordneten Endstufen eine zuverlässige Betriebsweise der Sicherheitsein­ richtung dadurch garantiert, daß charakteristische Fehlerzu­ stände zusammen mit diese Fehlerzustände kompensierenden Steuerstrategien abgespeichert werden und im Fehlerfall die jeweils zugeordnete Steuerstrategie zur Aktivierung des Rück­ haltemittels angewendet wird.

Aus der WO 92/03311 ist eine Kraftfahrzeug-Steuereinrichtung in Form eines Zündsteuergeräts zum Auslösen eines Kraftfahr­ zeug-Insassenschutzsystems bekannt, bei dem eine Unfalldaten- Schreiberfunktion realisiert ist, die eine kontinuierliche Überwachung und Speicherung des Verlaufs von Sensorausgangs­ signalen, Zündpillen-Zündströmen und dergleichen in einem Speicher bewirkt.

Demgegenüber betrifft die vorliegende Erfindung eine Kraft­ fahrzeug-Steuereinrichtung mit einer Diagnosefunktion, bei der die Eingangs- und/oder Ausgangssignale der einzelnen Steuer­ komponenten, z. B. die Sensorausgangssignale oder die als Reak­ tion hierauf erzeugten Steuersignale, auf Fehler überprüft werden. Beispielsweise können für die einzelnen Signale zuläs­ sige Ober- und Untergrenzen vorgegeben werden, bei deren Er­ reichen oder Überschreiten ein Fehlersignal generiert wird. Alternativ oder zusätzlich kann auch eine Überwachung des Zeitverlaufs der einzelnen Signale vorgesehen sein, wobei ein Fehlersignal dann generiert wird, wenn das überwachte Signal nicht innerhalb des für ihn zulässigen Zeitfensters auftritt. Wenn bei dieser Fehlerüberwachung des Steuereinrichtungsbe­ triebs und/oder der auftretenden Signale ein Fehler erkannt wird, werden in einen Fehlerspeicher entsprechende Informatio­ nen eingeschrieben, die mindestens den detektierten Fehler charakterisieren, vorzugsweise aber auch noch zusätzliche Aus­ sagen über den Status des Systems und den Verlauf der anderen Signale umfassen. Anhand dieser Fehlerinformationen ist eine nachträgliche Diagnose und weitere Funktionsoptimierung der Steuereinrichtung und der zugehörigen Komponenten erleichtert. Im Gegensatz zu einer kontinuierlichen Unfalldatenschreiber­ funktion wird somit bei der Fehlerspeicherung eine Datenspei­ cherung nur dann aufgerufen, wenn ein Fehler detektiert worden ist.

Wenn allerdings ein sehr schwerwiegender Fehler auftritt, der zu einer (unnötigen) Reaktion des überwachten Kraftfahrzeug- Systems, z. B. zu einer Airbag-Auslösung, führt, wird diese Aktivierung mit höchster Priorität ausgeführt, so daß der Feh­ lerdatenspeicherungsvorgang abgebrochen wird. In diesem Fall ist in aller Regel kein korrekter Lesezugriff auf die partiell teils alten, teils neu geschriebenen Fehlerdaten möglich. Auf­ grund der bereits teilweise erfolgten Datenüberschreibung kön­ nen auch die während des vorhergehenden Datenschreibzyklus gespeicherten Fehlerdaten nicht mehr gelesen werden. Damit liegt insgesamt keine Information über den Systemstatus und die Signalzustände zum Zeitpunkt des aufgetretenen Fehlers vor, was die nachfolgende Analyse zur Fehlerbehebung zumindest stark erschwert.

Der Erfindung liegt die Aufgabe zugrunde, eine Kraftfahrzeug- Steuereinrichtung zu schaffen, die eine zuverlässig auswertba­ re Fehlerdatenspeicherung auch bei vorzeitigem Abbruch eines aktuellen Fehlerdatenspeichervorgangs ermöglicht.

Diese Aufgabe wird mit den im Patentanspruch 1 angegebenen Merkmalen gelöst.

Weiterhin wird mit der Erfindung ein Verfahren zur Steuerung der Fehlerspeicherung in einer solchen Kraftfahrzeug- Steuereinrichtung gemäß dem Patentanspruch 4 geschaffen, bei dem keine Zerstörung der Fehlerdaten selbst bei Abbruch eines Fehlerdaten-Schreibvorgangs stattfindet.

Vorteilhafte Ausgestaltungen der Erfindung sind in den Un­ teransprüchen angegeben.

Bei der Erfindung ist der Fehlerspeicher in (mindestens) zwei Datenbereiche unterteilt, auf die bei den jeweiligen Schreib­ zyklen abwechselnd zugegriffen wird. Aktuell zu speichernde Fehlerdaten werden hierbei in den die älteren oder ältesten Fehlerdaten enthaltenden Datenbereich eingeschrieben, so daß die bislang aktuellsten Fehlerdaten zunächst noch unüber­ schrieben (bis zum nächsten Fehlerdaten-Schreibzyklus) beibe­ halten werden. Selbst wenn der aktuelle Schreibzyklus vorzei­ tig wegen eines mit höherer Priorität ausgeführten Steuervor­ gangs, z. B. einer Airbag-Auslösung, abgebrochen werden müßte und die Fehlerdaten somit nicht korrekt und/oder nicht repro­ duzierbar gespeichert werden sollten, steht zumindest der beim vorhergehenden Schreibzyklus vollständig gespeicherte Feh­ lerdatensatz für eine spätere Fehleranalyse zur Verfügung. Hiermit lassen sich insbesondere systembedingte Fehler, die wiederholt zu Fehlfunktionen führen und auszumerzen sind, mit guter Wahrscheinlichkeit detektieren und beheben.

Vorzugsweise ist für jeden Datenbereich ein eigener Zeiger vorgesehen. Derjenige Zeiger, der den die aktuellsten Feh­ lerdaten enthaltenden Datenbereich bezeichnet, wird hierbei als gültig gesetzt, wohingegen die anderen Zeiger als ungültig eingestuft werden. Vorzugsweise ist hierzu im Zeiger ein spe­ zielles Flag vorgesehen, das die Gültigkeit bzw. Ungültigkeit des Zeigers signalisiert und von der Steuereinrichtung vor einer Fehler-Neuspeicherung oder beim Auslesen der aktuellsten Fehlerdaten abgefragt wird. In bevorzugter Ausgestaltung wird der bislang gültige Zeiger, der auf den bislang aktuellsten Datenbereich zeigt, erst am Ende des aktuellen Schreibzyklus als ungültig gesetzt, d. h. gelöscht.

Der Zeiger kann bereits zu Beginn oder während eines laufenden Schreibzyklus, aber auch erst am Ende des aktuellen Schreibzy­ klus, als gültig gesetzt werden. Sofern der aktuelle Schreib­ zyklus aufgrund einer Auslöseroutine oder dergleichen unter­ brochen werden sollte, sind in den beiden erstgenannten Fällen somit bei einer späteren Speicherüberprüfung zwei gültige Zei­ ger vorhanden, woraus nicht nur erkennbar ist, daß ein Fehler aufgetreten ist, sondern auch bei einer gemeinsamen Auswertung des vollständigen, vorletzten Fehlerdatensatzes und des letz­ ten, nur teilweise geschriebenen Fehlerdatensatzes eine noch bessere Fehleranalyse möglich ist. Im letztgenannten Fall, bei dem erst am Ende des Schreibzyklus der bislang gültige Zeiger gelöscht und der bislang gelöschte Zeiger als gültig gesetzt wird, zeigt der jeweils gültige Zeiger immer auf einen voll­ ständig gespeicherten Fehlerdatensatz.

Für die Fehlereinträge sind somit zwei Speicherbereiche und zwei Zeiger im Speicher, der insbesondere in Form eines EPROM oder EEPROM realisiert ist, reserviert, wobei es im Normalfall jeweils nur einen gültigen Fehlerspeicherbereich und einen auf diesen zeigenden gültigen Zeiger gibt, während der ungültige Zeiger gelöscht ist. Bei einem Speichervorgang werden nur der jeweils ungültige Speicherbereich und Zeiger überschrieben und aktualisiert. Damit ist sichergestellt, daß allenfalls nur der zuletzt diagnostizierte Fehler verloren geht. Die diagnosti­ zierten Fehler werden somit korrekt in den Fehlerspeicher ein­ getragen, wobei selbst dann, wenn der Speichervorgang bei ei­ nem Aufprall aus Zeitgründen unterbrochen werden muß und der Fehlerspeicher eingefroren wird, dennoch stets ein gültiger Fehlerdatensatz gespeichert bleibt.

Wenn die Fehlerspeicherung ungestört abläuft, stehen im Feh­ lerspeicher jeweils zwei gültige Fehlerdatensätze, nämlich der aktuelle Fehlerdatensatz und der bei einem vorhergehenden Funktionsfehler aufgetretene und gespeicherte Fehlerdatensatz. Dies erlaubt eine noch bessere Diagnose und Analyse eventuel­ ler Systemfehlfunktionen.

Die vorliegende Erfindung ist nicht nur bei Kraftfahrzeug- Insassenschutzsystemen, sondern allgemein bei Kraftfahrzeug- Steuersystemen mit Diagnosefunktion und Fehlerdatenregistrie­ rung einsetzbar. Ferner kann die Erfindung auch allgemein bei Steuergeräten mit azyklischer Fehlerdatenregistrierung zum Einsatz kommen.

Die Erfindung wird nachstehend anhand eines Ausführungsbei­ spiels unter Bezugnahme auf die Zeichnungen näher beschrieben. Es zeigen:

Fig. 1 ein Ausführungsbeispiel der Kraftfahrzeug- Steuereinrichtung in Form eines Airbagsystems,

Fig. 2 die Speicherstruktur des Fehlerdatenspeichers, und

Fig. 3 ein Ablaufdiagramm zur Veranschaulichung des Fehlerda­ ten-Speichervorgangs.

In Fig. 1 ist ein Ausführungsbeispiel der erfindungsgemäßen Kraftfahrzeug-Steuereinrichtung in Form eines Front- Airbagsystems 1 gezeigt, das eine elektronische Steuereinheit (Mikroprozessor) 2 enthält, die über einen Daten- und Steuer­ bus 3 mit einem Fehlerdatenspeicher 4 in Form eines PROMs, insbesondere EEPROMs, verbunden ist. Das Airbagsystem 1 ent­ hält weiterhin einen Diagnoseabschnitt 5, der die in der Steu­ ereinrichtung auftretenden Signale und/oder Befehle auf Plau­ sibilität und/oder zulässige Größe überprüft und bei Erkennung eines Fehlers eine Fehlerspeicherroutine (siehe insbesondere Fig. 3) aufruft. Der Diagnoseabschnitt 5 kann auch als Be­ standteil der elektronischen Steuereinheit 2 konzipiert und beispielsweise durch entsprechende, in der Steuereinheit 2 gespeicherte Diagnoseprogramme realisiert sein.

Das Airbagsystem 1 ist mit Sensoren 6 ausgestattet, die auf bestimmte Parameter, z. B. Verzögerung, Rollbewegungen, Fahr­ zeug-Schräglage oder dergleichen ansprechen und einen (drohenden) Unfall signalisieren. Die Sensorsignale werden von der Steuereinheit 2 ausgewertet. Bei Erkennung eines drohenden Unfalls wird der zugehörige Airbag gezündet, wozu beispiels­ weise über eine Leitung 7 entsprechende Zündsignale von der Steuereinheit 2 zu einer Airbag-Zündpille gespeist werden.

In Fig. 2 ist der Aufbau des Fehlerspeichers 4 in größeren Einzelheiten gezeigt. Der Fehlerspeicher 4 enthält einen er­ sten Speicherabschnitt (Datenbereich) 8 zur Speicherung der bei Erfassung eines Fehlers zu registrierenden Daten, und ei­ nen zweiten Speicherbereich (Datenbereich) 9 zur Speicherung der bei einer Fehlererfassung zu registrierenden Daten. Auf die Speicherbereiche 8 und 9 wird jeweils alternierend bei jedem bei einer Fehlererfassung aufgerufenen Fehlerdaten- Schreibzyklus zugegriffen, wobei beim Schreiben neuer Daten in einen der Speicherbereiche 8 und 9 die im anderen Speicherbe­ reich bislang gespeicherten Daten unverändert beibehalten wer­ den. Für den Speicherbereich 8 ist ein Zeiger 10 vorgesehen, während dem Speicherbereich 9 ein Zeiger 11 zugeordnet ist. Zu Beginn, während oder beim Abschluß eines Schreibzyklus, bei dem in einen der Datenbereiche 8 und 9 neue Fehlerdaten einge­ schrieben werden, wird der jeweils zugehörige Zeiger 10 bzw. 11 als gültig gesetzt. Der bislang gültige, auf den anderen Speicherbereich zeigenden Zeiger wird am Abschluß des Schreib­ zyklus gelöscht, d. h. als ungültig gesetzt.

Wie aus Fig. 2 ersichtlich ist, kann der Fehlerspeicher 4 noch weitere Datenbereiche zur Speicherung anderer Daten enthalten.

In Fig. 3 ist der Ablauf der Fehlerspeicherung in größeren Einzelheiten gezeigt. Wenn der Diagnoseabschnitt 5 einen Feh­ ler, z. B. ein unnatürlich starkes oder schwaches Sensorsignal oder ein außerhalb des vorgesehenen Zeittaktes oder Zeitfen­ sters auftretendes Steuersignal erfaßt (Schritt S1), wird die in Fig. 3 gezeigte Fehlerspeicherroutine aufgerufen. Bei dem Schritt S2 werden die Zeiger 10 und 11 überprüft, um zu erken­ nen, welcher Speicherbereich 8 oder 9 der aktuell gültige Speicherbereich ist und in welchem Speicherbereich die Daten des vorletzten Schreibzyklus, d. h. die nicht mehr gültigen Fehlerdaten, gespeichert sind.

Bei dem Schritt S3 werden die Fehlerdaten in den als ungültig erkannten Speicherbereich 8 oder 9 eingeschrieben. Die Feh­ lerdaten umfassen hierbei die programmäßig vorgesehenen Infor­ mationen hinsichtlich des aktuellen Systemstatus, der als feh­ lerhaft erkannten Signale/Befehle und/oder sonstiger charakte­ risierender Kenndaten, die eine spätere Fehleranalyse ermögli­ chen.

Nach Abschluß des Schritts S3, d. h. des Einschreibens der Feh­ lerdaten in den bislang ungültigen Speicherbereich, wird der bislang ungültige Zeiger bei dem Schritt S4 nun als gültiger Zeiger aktualisiert (gesetzt). Der Schritt S4 muß allerdings nicht zwingend erst am Abschluß des Schritts S3 durchgeführt werden, sondern kann bereits zu Beginn des Schritts S3 oder während dessen Abarbeitung vorgesehen werden.

Nach Abschluß der Schritte S3 und S4 wird der Schritt S5 aus­ geführt, bei dem der bislang gültige Zeiger gelöscht, d. h. rückgesetzt wird und damit als nun ungültiger Zeiger einge­ stuft wird. Alternativ ist es aber auch möglich, den Schritt S5 bereits zu Beginn des Schritts S3 auszuführen. In diesem Fall kann das System dann, wenn der Schritt S3 aufgrund eines übergeordneten Notfalls, d. h. einer Airbag-Zündung, unterbro­ chen und nicht ordnungsgemäß abgearbeitet wird, bei der späte­ ren Systemanalyse erkennen, daß keiner der beiden Zeiger 10 und 11 als gültig eingestuft ist. Das System kann hieraus er­ mitteln, daß unmittelbar vor der Airbag-Zündung ein Fehler erfaßt worden ist und der Fehlerdaten-Schreibzyklus nicht kor­ rekt beendet werden konnte. Das System analysiert dann die beiden Speicherbereiche 8 und 9 und ermittelt, welcher Daten­ satz korrekt vollständig aufgezeichnet wurde, so daß eine Ana­ lyse zumindest des vorletzten Fehlerstörfalls vor der Airbag- Zündung möglich ist.

Nach Abschluß des Schritts S5 kehrt die Routine bei dem Schritt S6 wieder zum unterbrochenen Hauptprogramm zurück.

Claims (7)

1. Kraftfahrzeug-Steuereinrichtung zur Steuerung und Überwachung des Betriebs einer Kraftfahrzeug-Komponente, ins­ besondere eines Kraftfahrzeug-Insassenschutzsystem, mit einer Funktionseinrichtung (5) zur Erfassung von auftretenden Feh­ lern, und einem Fehlerspeicher (4) zur Speicherung von Feh­ lerdaten, die die beim Betrieb erfaßten Fehler charakterisie­ ren, wobei der Fehlerspeicher (4) mindestens zwei Speicherbe­ reiche (8, 9) aufweist und die Steuereinrichtung derart ausge­ legt ist, daß sie bei jedem neuen Fehlerschreibzyklus die Feh­ lerdaten in den beim jeweils vorletzten Fehlerschreibzyklus adressierten Speicherbereich einschreibt.

2. Kraftfahrzeug-Steuereinrichtung nach Anspruch 1, dadurch gekennzeichnet daß jedem Speicherbereich (8, 9) ein eigener, die Gültigkeit des Speicherbereichs anzeigender Zei­ ger (10, 11) zugeordnet ist.

3. Kraftfahrzeug-Steuereinrichtung nach Anspruch 1 oder 2, dadurch gekennzeichnet daß der Fehlerspeicher (4) als EPROM oder EEPROM ausgebildet ist.

4. Verfahren zur Steuerung der Fehlerdatenspeicherung in einer Kraftfahrzeug-Steuereinrichtung, insbesondere einem Kraftfahrzeug-Insassenschutzsystem, bei dem in einem Fehler­ speicher (4) mindestens zwei Datenbereiche (8, 9) vorgesehen werden, in die Fehlerdaten, die beim Betrieb der Kraftfahr­ zeug-Steuereinrichtung erfaßte Fehler charakterisieren, alter­ nierend derart eingeschrieben werden, daß bei Erfassung eines Fehlers die Fehlerdaten in den bei dem vorletzten oder noch früheren Fehlerschreibzyklus adressierten Datenbereich (8, 9) eingeschrieben werden.

5. Verfahren nach Anspruch 4, dadurch gekennzeichnet, daß für die beiden Datenbereiche (8, 9) jeweils ein eigener Zeiger (10, 11) vorgesehen ist und der Zeiger, der auf den beim aktuellen Fehlerschreibzyklus nicht neu beschriebenen Datenbereich zeigt, als ungültig gesetzt wird.

6. Verfahren nach Anspruch 5, dadurch gekennzeichnet, daß der Zeiger, der auf den aktuell nicht neu beschriebenen Datenbereich zeigt, erst nach vollständigem Abschluß der Spei­ cherung der Fehlerdaten als ungültig gesetzt wird.

7. Verfahren nach Anspruch 5 oder 6, dadurch gekenn­ zeichnet, daß der Zeiger, der auf den beim aktuellen Fehler­ schreibzyklus neu beschriebenen Datenbereich (8, 9) zeigt, zu Beginn des Fehlerschreibzyklus als gültig gesetzt wird.